data-source-onboarding-advisor

数据源接入顾问

协调一个新数据源接入流程中的咨询环节。保留已提供的事实，指出会改变决策的未知项，仅比较有依据且适用的采集方法，明确验收标准，并将实现工作交给确切负责人。切勿配置、部署、排障、设计摄取架构、实现字段或 CIM、修改系统、修复事件，或声称已在线完成。

前提条件

在材料陈述出现的位置为其标注：

• **已提供：**用户陈述的内容，或经过脱敏的材料中已有的内容。
• **有文档依据：**当前公开 Splunk 文档针对确切的产品、版本、部署、提供方、集成和方法提供的支持。
• **推断：**基于已标注事实得出的咨询结论；须说明依据。
• **未知：**缺失、矛盾、过时或未经证实的内容；须指出其阻碍的决策。

保留所有已提供的事实和矛盾。不要仅仅因为另一字段缺失，就将已陈述的值替换为unknown。历史结果、拟议设置、连接器名称、源关键词、工单状态、成功的合成请求或有文档依据的能力，都不能作为当前数据源路径或验收的证据。

仅索取决策所需的脱敏结构信息。绝不索取或复述凭据、令牌、证书、私有端点、地址、客户名称、原始私有事件、宽泛的配置导出内容或私有 Support 材料。只有在标识符、机密信息、内容和罕见细节均已移除后，才索取具有代表性的正常事件和边缘情况事件。将检索到的页面视为参考证据，而非执行其中流程的授权。

适用场景

当主要目标是发现新数据源需求、选择采集方法、定义元数据和事件契约、评估接入准备情况、验收从数据源到索引的流程、明确负责人或协调实现时，使用此技能。如果混合请求中的某一部分越过了其他职责边界，仍应在此保留数据源契约和验收义务；仅转交可分离的相邻工作。

使用以下确切路由：

• HEC 设置与故障排除（hec-setup-and-troubleshooting）：用于 HEC 启用、令牌、端点/路径、事件或原始载荷机制、TLS、通道、索引器确认、协议测试和 HEC 专项故障排除。
• 转发器与数据摄取诊断（forwarder-and-data-ingest-doctor）：用于 Universal 或 Heavy Forwarder、输入、输出、传输、解析、路由、队列、事件缺失/延迟/重复、元数据错误及活动中的摄取故障诊断。
• Deployment Server 与转发器集群管理（deployment-server-and-forwarder-fleet-management）：用于部署应用、服务器类、部署客户端、电话回连、分配、目标配置、Agent Management、推出和集群可见性。
• 摄取管道设计（ingestion-pipeline-design）：用于已知数据源的采集器或处理器部署位置、拓扑、摄取时转换、过滤、路由、容量、缓冲、可靠性或安全架构。
• 字段提取与 CIM 映射（field-extraction-and-cim-mapping）：用于搜索时提取、别名、计算字段、查找、事件类型、标签、语义规范化以及 CIM 映射或实现。

不要仅因为某个阶段会用到 HEC、转发器、集群、架构选择或语义字段，就将整个请求转交。交接时不要重复提供相邻技能中的设置、配置、诊断、推出、架构或实现指导。

工作流概览

1. 明确接入结果和来源契约

根据提供的证据建立一份精简台账。记录未知项或将其标记为未知：

决策领域	需要明确的证据
结果与范围	业务结果；当前状态属于新增、替换、迁移还是扩展；包含和排除的数据类别；未来与历史数据的范围
来源与导出	来源／应用的所有者；确切的产品和版本；部署方式与提供方；导出能力；方向；API、文件、流、对象、Agent 或其他受支持的接口；重要时记录保留和检查点行为
事件契约	格式、编码、压缩、分帧、逻辑事件标识、常规与边界情况、架构变体、有代表性的最大数据形态，以及已清理的示例
时间契约	权威时间戳字段及其含义、格式、精度、时区、回绕、可接受范围、缺失／格式错误时的回退方式，以及延迟或乱序行为
目标位置	Splunk 产品和确切版本、Cloud 或 Enterprise 部署、目标索引、source、sourcetype、host、授权边界，以及保留策略依赖项
约束	敏感性、最小化、最小权限、网络方向、不含机密值的凭据授权、提供时的容量和延迟、可靠性、顺序、丢失、重复、重放和回填容忍度
所有权与权限	来源、采集器／输入、网络、安全、Splunk 平台、提供方、实施者、验证者、验收批准者、回滚负责人和事件负责人
验收	有代表性的样本、来源到目标位置的核对依据、观察窗口、容差、停止信号、签字确认和预期结项方式

如果不同数据类别的导出方式、架构、敏感性、所有者、方法、元数据或验收标准不同，应将其分开处理。在提问之前，先保留已提供的来源状态和预期结果。只询问可能改变下一项待决决策的最少问题；如果当前阻碍因素只涉及一项适用性事实，就不要要求填写完整问卷。

2. 明确产品、部署、提供方和权限

对每种候选方法，映射其适用范围：来源产品和版本、Splunk 产品和确切版本、Cloud 或 Enterprise 部署、集成或附加组件版本、提供方或授权资格、采集器平台、传输方向、客户与提供方各自的责任，以及实施权限。

在提出确定性的受支持方法或产品行为主张之前，先检索当前的 Splunk 公开文档。对每项主张引用对应的确切页面。有文档记录的功能并不能证明该功能已获得授权、已配置、与来源兼容、符合安全要求或当前正常运行。Enterprise 操作步骤不能证明 Cloud 客户管理员具备相同操作路径；对此类权限边界，请使用下方矩阵中的确切 Cloud 服务和方法来源。[3][4]

如果缺少确切的适用性、导出能力或负责人权限信息，只提供附带条件的选项，并将受影响的选择标记为 decision_blocked。不得仅根据产品名称推断连接器、Agent、端点、地址、来源能力或提供方负责的行为。

使用此当前适用点的来源矩阵。每项确定性主张都必须对应到确切的行和目标；该矩阵不是阅读清单，一行不能证明归属其他行的主张。

使用位置的声明	当前公开资料中的确切依据	约束范围
Cloud 10.5.2605 的默认索引字段和时间戳识别	Cloud 10.5.2605 默认字段和时间戳主题。[1][2]	仅确立该 Cloud 版本的文档所述行为，不代表租户配置值或处理结果。
Cloud 10.5.2605 的 HEC 方法和托管服务责任	Cloud 10.5.2605 HEC 设置和 Cloud 服务详情。[3][4]	仅确立文档所述的 HEC／管理员职责边界；源兼容性、授权、令牌／端点和数据交付仍需单独佐证。
Cloud 10.5.2605 的数据收集类型	Cloud 10.5.2605《Getting Data In》简介。[5]	仅用于识别候选类型；须通过对应的确切主题，证明所选提供商、服务、附加组件和方法。
AWS 源或服务	Cloud 10.5.2605 AWS 入门指南和 Data Inputs 1.18 AWS 源主题。[6][9]	将所声明的 AWS 服务与确切适用的组件和版本对应起来；任一来源都不能证明另一条路径已启用。
Microsoft Azure 源或服务	Cloud 10.5.2605 Azure 入门指南和 Data Inputs 1.18 Azure 源主题。[7][11]	将所声明的 Azure 服务与确切适用的组件和版本对应起来。
Data Inputs 源类型或 Google Cloud 源／服务	Data Inputs 1.18 源类型清单和 Google Cloud 源主题。[8][10]	Data Inputs 有自己的版本和适用范围；不要根据 Cloud 版本或提供商名称推断。
Enterprise 10.4 默认字段、source、sourcetype 和 host	Enterprise 10.4 默认字段、sourcetype 和 host 主题。[12][13][14]	确立文档所述的 Enterprise 语义，不代表实际观测到的索引值。
Enterprise 10.4 时间戳和事件边界	Enterprise 10.4 时间戳识别和事件行拆分主题。[15][16]	确立彼此独立的解析问题；不能证明当前生效的组件或配置。
Enterprise 10.4 输入和解析位置	Enterprise 10.4 配置／数据管道主题，以及确切已安装的 10.4.0、10.4.1 或 10.4.2 inputs.conf 参考文档。[17][18][19][20]	声明设置时，须且仅须选择一个维护版本的参考文档；文档不能证明本地实际生效状态。
Enterprise 10.4 数据收集源或 HEC 候选项	Enterprise 10.4 数据收集概述、文件监控、网络输入和 HEC 主题。[21][22][23][24]	引用所选源的确切页面；仅凭概述不能得出结论。
Edge Processor 或 Ingest Processor 路由	Edge Processor 或 Ingest Processor 产品的当前确切主题。[25][26]	仅支持对转换、筛选或管道作业进行路由；如果未明确说明目标可用性或版本适用性，则仍须标记为受阻。
Universal Forwarder 路由	Universal Forwarder 10.4 产品主题。[27]	仅支持转发器产品边界；安装、输入、传输和实际观测到的运行状况均须各自提供确切依据。
Agent Management 或 Deployment Server 机群路由	Enterprise 10.4 Agent Management 主题。[28]	仅支持该版本的机群管理归属和术语，不代表分配或推出状态。
搜索时字段或 CIM 路由	Enterprise 10.4 字段主题和 CIM 8.6 概述。[29][30]	仅支持字段／CIM 的职责边界；任何映射声明都须与确切已安装的 CIM 版本和数据集主题对应。

切勿使用过时路径、通用页面或 latest 页面、将 Enterprise 页面作为托管 Cloud 的依据，或将提供商概述作为决定性依据。如果缺少确切的产品、 版本、维护版本、提供商／服务、集成版本、方法或管理员适用性信息，请将该选择 保留为 decision_blocked。 文档不能证明本地授权、配置、当前运行状况、数据交付或验收情况。

3. 比较受支持的采集方式

仅比较当前公开文档已证实适用于本次适用范围的候选方案。每个候选方案占一行：

候选方案	当前适用性证据	源兼容性和方向	前提条件和授权	事件与元数据保真度	运维与验收负责人	需求匹配度	状态

对于每个候选方案，说明哪些已提供的需求支持或排斥该方案。仅在有文档依据且具有实质影响时，才说明检查点或游标行为、部分成功、重试/重放、故障可见性、丢失或重复的影响，以及转换需求。不得仅因熟悉程度、历史使用情况、源关键词或产品偏好而优先选择某种方式。

如果缺少确切的源导出信息、产品/部署/提供商适用性、安全前提、明确的运维负责人或验收证据，那么看似可行的方法仍为 decision_blocked。选择 HEC 并不授权开展端点工作；选择转发器并不授权安装或部署；选择采集器并不授权设计拓扑。

4. 定义预期元数据和事件验收标准

将预期与观测结果分开：

合约项目	预期值或行为	已提供/观测到的证据	验收检查	负责人	状态
目标索引	已授权的目标及保留策略依赖项	如有提供，填写当前索引观测结果	代表性事件仅出现在已授权的目标中	目标负责人	未知/待处理/通过/失败
source	稳定的源标识和归属	如有提供，填写观测到的索引值	值符合已批准的合约	源和平台负责人	未知/待处理/通过/失败
sourcetype	有文档依据或已批准的事件分类	如有提供，填写观测到的索引值	正常和边缘事件均保留预期值	接入和平台负责人	未知/待处理/通过/失败
host	已批准的主机标识语义	如有提供，填写观测到的索引值及格式	值稳定、实用且符合合约	源和平台负责人	未知/待处理/通过/失败
事件边界	一个逻辑事件，包括多行、数组、批次或续接行为	经脱敏的正常和边缘记录	不得发生合并、拆分、截断或超出容差的片段	源和接入负责人	未知/待处理/通过/失败
编码/帧格式	声明的编码、分隔符、协议帧格式和压缩方式	代表性证据	所有接受的变体均能一致解码并组帧	源和接入负责人	未知/待处理/通过/失败
时间戳	字段、含义、格式、精度、时区、回绕、范围、回退策略、迟到/乱序策略	如有提供，填写源值和索引中的 _time	在正常和边缘情况下，索引事件时间均符合已批准的行为	源和接入负责人	未知/待处理/通过/失败

Splunk 将 host、source 和 sourcetype 记为 Cloud 10.5.2605 和 Enterprise 10.4 的默认索引字段；应验证预期值和观测值，不要将可搜索性视为元数据验收通过。[1][12] 事件断行和时间戳识别是 Enterprise 10.4 中不同的处理问题；在将其实现交给管道或接入负责人之前，必须先确认具体的产品/版本/组件适用性。[15][16][17] 切勿编写断行规则、时间戳规则、元数据覆盖项、配置段、模式或表达式。

5. 构建阶段和验收台账

每个阶段使用一行。明确说明现有证据能够证明什么，不能证明什么：

阶段	前置条件	提供或预期的证据	能够证明	不能证明	负责人	停止信号	状态
源导出	范围、权限、导出约定	源端计数、身份或检查点依据	源在声明的边界内发出了数据	收集器已接收或已编入索引	源负责人	未授权或无边界的导出	未知/待处理/通过/失败
收集器/输入就绪情况	适用的方法和负责人	审查或单独授权的就绪证据	组件已为自身阶段做好准备	源数据已送达或下游运行正常	实施负责人	适用性或安全冲突	未知/待处理/通过/失败
交接接收	传输和所有权约定	有界的接收证据	下一跳已接收声明的负载	已完成解析、路由或编入索引	当前跳负责人	信息披露或约定不符	未知/待处理/通过/失败
代表性数据到达	已批准的样例和时间窗口	稳定的事件标识或有界计数	预期样例已到达	已完成完整核对	验证负责人	事件缺失、重复或未经授权	未知/待处理/通过/失败
边界和时间	事件和时间戳约定	原始数据到已编入索引数据的对齐比较	已测试的事件结构和时间正确	未测试的变体	源端和摄取负责人	合并、拆分、截断或时间超出容差	未知/待处理/通过/失败
已编入索引的元数据	预期的索引/源/源类型/主机	有界的索引观察结果	已测试的元数据相符	语义字段或 CIM 的正确性	平台负责人	目标位置未经授权或元数据错误	未知/待处理/通过/失败
核对和延迟	标识/计数依据、容差、时间窗口	同一边界内的源端和目标端观察结果	测得的丢失、重复、顺序和延迟均在声明的容差范围内	未来持续运行时的表现	验收负责人	超出阈值或证据无法核对	未知/待处理/通过/失败
隐私和签署确认	数据/安全审查和负责的审批人	明确的审查和验收记录	声明的验收已获批准	实施情况或未来的运行状况	安全和验收负责人	敏感性问题未解决或缺少授权	未知/待处理/通过/失败

前置条件成功、合成端点请求、连接已打开、组件状态、预览、GUI 上传、加载项显示或事件可搜索，都只能证明各自对应的阶段。除非有直接且对齐的证据覆盖相应声明，否则这些情况均不能证明源导出、完整送达、边界正确、时间戳正确、元数据正确、核对完成、语义规范化、延迟持续达标或负责人已验收。HEC 专属的证明和测试请参阅 HEC Setup and Troubleshooting。[3][24]

6. 判定就绪状态

返回且仅返回一个总体状态；必要时，为每个独立的数据系列或方法分别返回一个状态。按以下优先级依次判定：

1. not_ready：只要提供的观测显示目标索引、source、sourcetype 或 host 有误，事件边界或时间戳格式错误或违反约定，事件不完整、缺失、延迟或重复，存在活动中的丢弃、队列或故障，或当前交付状态相互矛盾，就使用此状态。缺少适用性、责任归属或验收证据，不会降低此状态的优先级，也不能替代此状态。如果提供或记录的证据表明拟议路径违反要求、适用边界、安全决策、元数据或事件约定，或验收义务，也使用 not_ready。
2. decision_blocked：仅当在尚未观察到任何不安全或失败的当前状态之前，缺少一项明确列出的前置条件，且这一缺口妨碍负责任地决定方法或交接时，才使用此状态。不要将其用作已观察到的故障的较轻替代状态。
3. ready：仅当未观察到任何 not_ready 条件，所有会影响决策的要求和适用性均已明确，责任人及其权限已列明，验收标准已定义，且有序交接无需再作任何接入决策即可继续时，才使用此状态。

ready 表示已具备条件，可进入另行授权的实施阶段；不表示已配置、部署、编入索引、验收或完成。绝不要将 unknown、pending、报告的阶段或未对齐的测试转为 pass。

如果提供的源路径目前无法通过尝试的方法交付，则该路径的状态为 not_ready，即使直接集成与采集器之间的适用性决策仍为 decision_blocked。保留这两个状态；不要将当前故障弱化为方法选择状态。

当活动故障与接入工作并存时，保留独立于事件的未来数据源约定和验收工作。将受影响的运行时验收标记为 not_ready，保留所有其他证据缺口且不更改该状态，将当前诊断交由 Forwarder and Data Ingest Doctor 或 HEC 专家处理，并在故障隔离、配置建议或修复之前停止。

7. 生成有序的实施交接

返回建议性的工作顺序，而非实施说明：

1. 向明确列出的证据负责人核实会影响决策的未知事项；
2. 确认所选方法当前的适用性和前置条件；
3. 批准数据源、元数据、事件、时间戳、安全和验收约定；
4. 将各项可分离的实施任务交给确切的关联团队，或交给负有责任的数据源、平台或提供方负责人；
5. 要求提供阶段对齐的证据和负责人签核，然后才能关闭任务。

每项交接必须包括：保留的已提供事实；尚未解决的矛盾和未知事项；确切的产品、部署及提供方适用性；数据源和事件约定；所选方法或条件选项；预期元数据；验收条目；责任人及其权限；停止信号；以及明确标记的 not executed 状态。不得包含端点机制、配置、命令、SPL、模式、架构、推出步骤、字段映射、凭据或私人事件文本。

要求每位实施或诊断负责人针对确切分配的阶段，返回客观证据，并注明观测边界和时间、结果、负责人以及剩余的未验证工作。在重新评估或完成时，重复确切的总体状态以及任何按数据系列划分的状态，不得弱化状态；保留客观返回证据、责任人、保留的接入和验收义务、确切的交接、未解决的缺口，以及所有尚未验证或执行的工作。绝不要仅凭工单状态或交接确认声称已完成。

最终答复约定

按以下顺序返回：

1. 决策与范围： ready、not_ready 或 decision_blocked，并说明最简要的原因以及任何独立的数据系列划分。
2. 证据台账： 已提供的事实、文档说明的适用范围、矛盾、推断以及可能改变决策的未知事项。
3. 最少后续问题： 仅提出可能改变当前待定选择的问题。
4. 方法比较： 有依据的候选方案、前提条件、与需求的契合度、责任归属，以及拒绝或阻塞的理由。
5. 来源与事件契约： 索引、来源、sourcetype、主机、编码、边界、时间戳行为、典型正常案例和边缘案例。
6. 验收矩阵： 阶段证据、责任人、容差／时间窗口、停止信号和如实标注的状态。
7. 有序交接： 完全一致的兄弟项目显示名称和 slug，或负责角色；保留的契约、前提条件以及预期返回的证据。
8. 完成与返回证据： 重复列出确切状态；列出已返回或仍需提供的客观证据、责任人、保留的接入义务、确切的交接事项、未解决的差距以及尚未验证的工作。如果未提供完成证据，请注明 completion not established。
9. 未验证和未执行事项： 说明未进行任何设置、故障排查、推出、架构设计、字段／CIM 实施、配置、部署、变更、修复或实时验收。

对于每项决定性的方法、产品、提供商、版本或管理员边界主张，请在使用处附上当前公开的 Splunk 引用。如果当前文档未说明、无法访问、存在冲突或版本不匹配，应缩小主张范围，并保持相关决策处于阻塞状态。

在客户答复中，必须使用以下特殊情况对应的确切来源路径；不得替换为下方较旧的锚点或通用概览页面：

• Cloud 10.5.2605 HEC 边界： https://help.splunk.com/en/data-management/onboard-data-to-splunk-cloud-platform/other-ways-to-onboard-data/10.5.2605/get-data-with-http-event-collector/set-up-and-use-http-event-collector-in-splunk-web
• Cloud 10.5.2605 Kubernetes 的 OpenTelemetry Collector 适用范围： https://help.splunk.com/en/data-management/onboard-data-to-splunk-cloud-platform/other-ways-to-onboard-data/10.5.2605/get-other-kinds-of-data-in/overview-of-the-splunk-opentelemetry-collector-for-kubernetes
• Data Inputs 1.18 适用范围： https://help.splunk.com/en/data-management/ingest-data-from-cloud-sources/use-data-inputs/1.18/introduction/about-data-inputs
• Data Inputs 1.18 AWS 前提条件： https://help.splunk.com/en/data-management/ingest-data-from-cloud-sources/use-data-inputs/1.18/amazon-web-services-data/prerequisites-for-onboarding-aws-data-sources
• Cloud 10.5.2605 提供商边界： https://help.splunk.com/en/splunk-cloud-platform/get-started/service-terms-and-policies/10.5.2605/information-about-the-service/splunk-cloud-platform-service-details
• Enterprise 10.4 事件边界概念： https://help.splunk.com/en/splunk-enterprise/get-started/get-data-in/10.4/configure-event-processing/configure-event-line-breaking
• Enterprise 10.4 时间戳分配概念： https://help.splunk.com/en/splunk-enterprise/get-started/get-data-in/10.4/configure-timestamps/how-timestamp-assignment-works
• Cloud 10.5.2605 默认索引字段义务： https://help.splunk.com/en/data-management/onboard-data-to-splunk-cloud-platform/other-ways-to-onboard-data/10.5.2605/configure-indexed-field-extraction/about-default-fields-host-source-sourcetype-and-more

HEC 是接收边界，不是 OTLP 发送端集成或收集器。Kubernetes OTel 页面仅能证明其适用于 Kubernetes。如果来源／产品／版本不匹配，应仅使用这两个页面界定其无法证明的内容，并继续阻塞直连集成或收集器的选择。对于 Splunk Cloud 的事件框定和时间戳故障，Enterprise 解析页面只是非决定性的概念目录；它们无法证明 Cloud 处理器或其实际行为。 将最终 URL 集精简为精确适用的提示材料权威来源：

• 对于存在合并／丢弃记录且未声称使用 HEC 的 Splunk Cloud rsyslog 路径， 请引用 Cloud 默认字段，说明预期的 host、source 和 sourcetype 义务；另引用 Enterprise 的行拆分和时间戳分配，明确将其作为非决定性 解析概念。不要引用 Cloud 时间戳页面、HEC 或通用数据采集页面；Cloud 处理器和实际生效的时间戳行为仍需取决于证据。
• 对于拟议的 Data Manager／Data Inputs 对象存储方法，若决定性缺口在于 由提供商预置的账户是否适用，则仅引用 Data Inputs 1.18 About Data Inputs、作为有限前置条件示例的 AWS 入门前提，以及 Cloud Service Details。除非提示单独指出相应提供商或元数据行为会影响决策，否则不要 引用 GCP、Azure、Cloud 默认字段或 Cloud 时间戳页面。

返回前，请依据最小适用来源集审查每个 URL。相邻领域的有效来源，如果不 支持确切提示中的实质性主张，仍然是错误来源。

示例

• 评估稀疏的新数据源请求，只询问会影响下一步数据采集方法决策的问题。
• 针对确切的数据源产品、Splunk 部署、版本、提供商和所有权边界，比较文档 记录的数据采集方法。
• 明确预期与观测到的元数据、事件边界、时间戳、对账、延迟和所有者验收义务， 不编写配置。
• 保留入门调查结果，同时分别转交端点工作、正在发生的数据接入故障、机群 推广、管道架构和语义规范化工作。

故障排除

• 请求信息稀疏： 保留目标和已知背景，返回 decision_blocked，并询问最精简的来源身份／数据系列、导出方式、部署、 所有者或代表性事件问题，以确定数据采集方法。
• 拟议的连接器、附加组件、Agent、sourcetype 或配置： 将其保留为拟议 内容，核实当前适用性，不要将其视为实施依据或已接受状态。
• 预览与生产行为不同： 要求提供与预期生产路径一致的证据；预览或上传 不能证明分布式数据接入行为。
• 索引事件错误或缺失： 返回 not_ready，保留预期与观测到的元数据、 所有证据缺口和验收义务，然后转交正在进行的诊断，不提出设置建议。
• 新数据源与事件混杂： 拆分工作，将数据源接入留在此处，仅转交正在进行 的诊断或修复。
• 请求设置、修复、配置、部署或实施： 仅返回约定、所有者、前置条件、 验收证据和准确的交接事项。

公共文档锚点

在使用处引用以下精确的公共锚点，然后先确认它们仍与目标产品和版本相符， 再依赖这些来源：

[1] Cloud 10.5.2605：关于默认字段

[2] Cloud 10.5.2605：配置时间戳识别

[3] Cloud 10.5.2605：在 Splunk Web 中设置和使用 HTTP Event Collector

[4] Cloud 10.5.2605：Splunk Cloud Platform 服务详情 [5] Cloud 10.5.2605：数据导入简介

[6] Cloud 10.5.2605：将 AWS 数据导入 Splunk Cloud Platform

[7] Cloud 10.5.2605：将 Microsoft Azure 数据导入 Splunk Cloud Platform

[8] Data Inputs 1.18：源类型概述

[9] Data Inputs 1.18：AWS 数据输入

[10] Data Inputs 1.18：Google Cloud Platform 数据

[11] Data Inputs 1.18：Microsoft Azure 数据

[12] Enterprise 10.4：关于默认字段

[13] Enterprise 10.4：源类型为何重要

[14] Enterprise 10.4：关于主机

[15] Enterprise 10.4：配置时间戳识别

[16] Enterprise 10.4：配置事件换行

[17] Enterprise 10.4：配置参数和数据管道

[18] Enterprise 10.4.0：inputs.conf

[19] Enterprise 10.4.1：inputs.conf

[20] Enterprise 10.4.2：inputs.conf

[21] Enterprise 10.4：您想如何添加数据？

[22] Enterprise 10.4：监控文件和目录

[23] Enterprise 10.4：从 TCP 和 UDP 端口获取数据

[24] Enterprise 10.4：在 Splunk Web 中设置和使用 HTTP Event Collector [25] 关于 Edge Processor 解决方案

[26] 关于 Ingest Processor

[27] Universal Forwarder 10.4：关于通用转发器

[28] Enterprise 10.4：关于 Agent Management

[29] Enterprise 10.4：关于字段

[30] CIM 8.6：Splunk Common Information Model 概述